Proszę o sprawdzenie logów infekcja/niechciane oprogramowani

**Posty:** 34 · przez **vego** 10 Mar 2016, 21:36

Witam
Proszę o sprawdzenie logów pod katem niechcianego oprogramowania/infekcji, które mogły się wprowadzić do systemu. Aplkacja allegro + booking i inne po instalacji programu hddlife, hdtune pro.
Poza tym, mimo odinstalowania programów zostały w systemie ich łatki na ikonkach partycji.
dziękuję

**Posty:** 4765 · przez **ordynat** 10 Mar 2016, 21:58

1) Spróbuj odinstalować ten program:

Update for PriceFountain (HKU\S-1-5-21-485612313-3131477178-4024949205-1000\...\PriceFountainUpdateVer) (Version: - Update for PriceFountain) <==== UWAGA

2) Otwórz Notatnik i wklej w nim:

Task: {7B3E5422-0284-471E-96DA-5010623E2658} - System32\Tasks\MarcinRetouchablePastsV2 => Rundll32.exe InfectsCallously.dll,main 7 1 <==== UWAGA
Task: {7C14E2F0-3945-4503-ADAA-634490C9D328} - System32\Tasks\PriceFountainUpdateVer => C:\Users\Marcin\AppData\Roaming\PriceFountainUpdateVer\UpdateProc\UpdateTask.exe [2016-03-10] () <==== UWAGA
C:\Users\Marcin\AppData\Roaming\PriceFountainUpdateVer
Task: C:\Windows\Tasks\PriceFountainUpdateVer.job => C:\Users\Marcin\AppData\Roaming\PRICEF~1\UPDATE~1\UPDATE~1.EXE <==== UWAGA
ShortcutTarget: HDDlife.lnk -> C:\Program Files\BinarySense\HDDlife 4\HDDlifePro.exe (Brak pliku)
2016-03-10 18:20 - 2016-03-10 18:35 - 00000296 _____ C:\Windows\Tasks\PriceFountainUpdateVer.job
2016-03-10 18:20 - 2016-03-10 18:20 - 00000000 ____D C:\Users\Marcin\AppData\Roaming\PriceFountainUpdateVer
2016-03-10 18:19 - 2016-03-10 18:20 - 00000000 ____D C:\Users\Marcin\AppData\Local\RetouchablePasts
2016-03-10 18:18 - 2016-03-10 18:18 - 01024183 _____ ( ) C:\Users\Marcin\Downloads\HDDlife-13301-dp.exe
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

Jeśli będzie OK, to będziemy kończyć:
Otwórz Notatnik i wklej w nim:

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST. Uruchom FRST i kliknij w Fix (NAPRAW).
przez SHIFT+DEL usuń pozostały folder C:\FRST.
.

**Posty:** 34 · przez **vego** 10 Mar 2016, 22:32

Niestety nic to nie dało
W złaczniki to co pojawiło się po instalacji programów, czyli łatka na partycje + allegro i booking na pasku zadań

**Posty:** 4765 · przez **ordynat** 10 Mar 2016, 22:52

Ale logi tego nie potwierdzają, a ja mogę wierzyć tylko logom, nie mam innej opcji.

Zrób nowe logi FRST.
Przed skanem zaznacz "Addition.txt" oraz "Shortcut.txt"
.

**Posty:** 34 · przez **vego** 10 Mar 2016, 23:00

Wrzucam logi

**Posty:** 4765 · przez **ordynat** 10 Mar 2016, 23:11

FRST.txt
(103 Bajty)

**Posty:** 34 · przez **vego** 10 Mar 2016, 23:13

podmieniłem na następny po kolejnym skanowaniu

**Posty:** 4765 · przez **ordynat** 10 Mar 2016, 23:27

ShortcutWithArgument: C:\Users\Marcin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\allegro.pl .lnk -> C:\Windows\explorer.exe (Microsoft Corporation) -> C:\Users\Marcin\AppData\Local\RetouchablePasts\allegro.pl.smenu.URL
ShortcutWithArgument: C:\Users\Marcin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Booking .lnk -> C:\Windows\explorer.exe (Microsoft Corporation) -> C:\Users\Marcin\AppData\Local\RetouchablePasts\Booking.smenu.URL

tu się sprawa wyjaśniła: ikonki "allegro" oraz "booking" kierują do ...RetouchablePasts
To się chyba powinno dać naprawić.

Date: 2016-01-19 23:56:45.074
Description: Code Integrity is unable to verify the image integrity of the file \Device\HarddiskVolume2\Program Files\SpaceSoundPro\SpaceSoundPro.dll because the set of per-page image hashes could not be found on the system.

Natomiast to jest zablokowane przez SpaceSoundPro
Z tym raczej będą problemy, bo tego programu już nie ma na dysku, ale blokada po nim pozostała.

Otwórz Notatnik i wklej w nim:

C:\Users\Marcin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mozilla Firefox.lnk
C:\Program Files\SearchesToYesbnd
ShortcutWithArgument: C:\Users\Marcin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\allegro.pl .lnk -> C:\Windows\explorer.exe (Microsoft Corporation) -> C:\Users\Marcin\AppData\Local\RetouchablePasts\allegro.pl.smenu.URL
ShortcutWithArgument: C:\Users\Marcin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Booking .lnk -> C:\Windows\explorer.exe (Microsoft Corporation) -> C:\Users\Marcin\AppData\Local\RetouchablePasts\Booking.smenu.URL
C:\Users\Marcin\AppData\Local\RetouchablePasts
CMD: fltmc instances
ShortcutTarget: HDDlife.lnk -> C:\Program Files\BinarySense\HDDlife 4\HDDlifePro.exe (Brak pliku)
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).
Powstanie plik fixlog.txt.
Daj ten log.

Napisz, czy z "allegro" i "booking" jest już OK.
.

**Posty:** 34 · przez **vego** 10 Mar 2016, 23:42

Skróty nadal są na pasku menu start, gdy wybiorę lokalizację skrótu to otwiera się główny folder windows i zaznaczony jest explorer, łatka bez zmian. Załączam fixlog

**Posty:** 4765 · przez **ordynat** 10 Mar 2016, 23:47

C:\Users\Marcin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\allegro.pl .lnk => Skrót - argument pomyślnie usunięto.
C:\Users\Marcin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Booking .lnk => Skrót - argument pomyślnie usunięto.

Wg "fixlog" to powinno już być OK.
Natomiast komenda CMD: fltmc instances nie wykryła żadnych blokad dysków, oprócz tych, co są zawsze.

Zrób jeszcze raz logi FRST - bez Addition.
.

dodatkowo:
Uruchom FRST.
W polu SEARCH (SZUKAJ) wklej:

SpaceSoundPro

kliknij na przycisk "Search Registry" (Szukaj w Rejestrze).
Raport z tego będzie tam, gdzie jest FRST.
.

**Posty:** 34 · przez **vego** 11 Mar 2016, 00:01

Załączam logi

**Posty:** 4765 · przez **ordynat** 11 Mar 2016, 00:08

Shortcut: C:\Users\Marcin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\allegro.pl .lnk -> C:\Windows\explorer.exe (Microsoft Corporation)
Shortcut: C:\Users\Marcin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Booking .lnk -> C:\Windows\explorer.exe (Microsoft Corporation)

usuń te skróty, a w ich miejsce zrób nowe - może to coś pomoże?
Napisz, czy pomogło?

Drobna kosmetyka:
Otwórz Notatnik i wklej w nim:

C:\Users\Marcin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HDDlife.lnk

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

Wyszukiwanie w Rejestrze "SpaceSoundPro" niczego nie znalazło, tak więc w tej sprawie nic nie pomogę, nie mam pomysłu, jak usunąć blokadę.
.

**Posty:** 34 · przez **vego** 11 Mar 2016, 00:33

Skróty zostały więc odpiąłem je z paska start. Ostatni raz daję logi jakby może to coś pomogło.
Usunąłem jeszcze folder binary log czy coś takiego, gdzie umieszczone były te łatki w folderze z pozostałości od programu Hdd. Niby łatki zniknęły ale teraz pojawiła się taka ikonka przy każdej partycji. Jak można powrócić do standardowych ikonek?.

**Posty:** 4765 · przez **ordynat** 11 Mar 2016, 00:44

Sądząc po obrazku, to partycje nie nadają się już do użytku.
Jeśli tak jest w rzeczywistości, to jeszcze spróbuj sformatować dysk, i wgrać System od nowa.
Jeśli to się nie uda, to pozostanie tylko wymienić dysk twardy na nowy.
.

**Posty:** 34 · przez **vego** 11 Mar 2016, 01:05

Ale przecież dysk pracuje poprawnie, jedynie ikony od partycji nie są wyświetlane

**Posty:** 4765 · przez **ordynat** 11 Mar 2016, 09:29

w takim razie, skoro jest OK, to zostaw to w spokoju.
myślałem, że kliknięcie w ikonki tych partycji nie powodowało ich uruchomienia, ale skoro otwierają się normalnie, to jest OK.
.

**Posty:** 34 · przez **vego** 11 Mar 2016, 19:46

Jest jak przed instalacją programów, partycje aktywne i nie ma problemów z dostępem do nich, jedyne co obecnie razi w oczy to te zagubione ikony.
A masz może jakiś sposób na podmianę ikonek partycji ew. może trzeba usunąć jakieś pliki typu autorun.inf, desktop.ini, IconCache.db, wiem że trochę zbaczam z tematu, ale chciałbym go już zakończyć.

Kto jest na forum